Проверка является ли строка URL

Нужно выдернуть url, и.д.р инфу из страницы:

PHP:


$file=$_GET["url"];

// тут проверка


$file = @fopen("$file", "r");
if (!$file) {
    echo "<p>Ресурс не доступен!</p>\n";
    exit;
}
while (!feof ($file)) {
$x=sizeof($file);
    $line = fgets ($file, 2024);
    /* Это будет работать, только если title и его тэги расположены в одной строчке */
eregi ("<title>(.*)</title>", $line, $out);
$title = $out[1];

eregi ("<meta name=\"keywords\" content=\"(.*)\">", $line, $keywords);

eregi ("<meta name=\"searchtitle\" content=\"(.*)\">", $line, $searchtitle);

eregi ("<meta name=\"description\" content=\"(.*)\">", $line, $description);


Но если так оставить то получается инклуд...
Что вставить на место
// тут проверка
чтобы было безопасно, и нельзя было таким образом открывать локальные файлы?

 

Нет тут никакого инклюда, не параной
Тут нет ни echo file_get_contents, ни include($file), и ничего такого подобного, все ок.

 

2 wildshaman:

fopen при определенных обстоятельствах тоже инклуд

 

Ммм, а можно пример? Здесь-то фопнутый файл не выводится, или это не важно?

 

if(!preg_match('#^\w+$#',$_GET['url'])) { echo 'fuck'; exit; }
else continue;

 

Code:

http://micromake.ru/index.php?page=../../../../../../../../../../../../../../../../../../../../../../../../../../etc/passwd

И всё, как минимум путь у нас есть

 

Мм-да, и правда....
Но в случае Тса же вроде все безопасно, как я понимаю?

 

Может хватит уже?

 

ммм, тебя попросили указать конкретный случай, где fopen позволяет инклудить файл, а в твоем примере я не вижу, чтобы файл инклудился

хехе, как легко вас убедить

судя по коду ТС, данный патч лишит код какого-либо смысла

 

Хорошо, я имел в виду "чтение" файла, чтение, а инклуд просто общее у меня идет из название баги php-inj

 

Pashkela, возьми маркер и пиши у себя снизу на мониторе:
"Инклуд - подключение файла в скрипт и последующее его выполнение.
Читалка - отображение содержимого файла."

И ещё допиши:
"PHP inj (инъекция) - добавление и последующее выполнение кода непосредственно в самом скрипте"

 

Ну, я доверяю старшим товарищам, я еще и разу не усомнился в прфоессионализме Пашкелы)
Всем спасибо за ликбез

 

т.е.

Code:

Читалка - отображение содержимого файла."

никакого отношения к php-inj не имеет в данном случае?))) Тогда пойду убьюсь головой об стену и распространю по всему интернету новое название новой баги - ЧИТАЛКА

 

От того что ты назовёшь хер бананом, он кожурой не покроется и не пожелтеет.

 

Достаточно уже и раскрытие путей в некоторых случаях, а то, что при fopen возможно исполнение постороннего кода - я и не писал, инклудом назвал только потому, что можко проинклудить СОДЕРЖИМОЕ интересующего файла, т.е. ПРОЧИТАТЬ, посредством именно fopen, что, сугубо на мой взгляд, имеет прямое отношение к PHP-INJ, т.к. используются уязвимости в скрипте, написанном на PHP, и ничего более.

Если же кто-воспринимает php-inj как именно инклуд и обязательно ВЫПОЛНЕНИЕ стороннего файла - разве это мои проблемы?

 

Все, что связано с пыхом, сичтать пхп-инхекциями?хдд

ну по идее injection переводится как инъекция, включение, тобишь включение своего кода в чужой и использование его как родного -выполнение.

 

Сам то понял что написал? Мен, не позорся

+ Тогда по твоему можно щитать скулей раскрытие путей ?

 

>> инклудом назвал только потому, что можко проинклудить СОДЕРЖИМОЕ интересующего файла, т.е. ПРОЧИТАТЬ, посредством именно fopen, что, сугубо на мой взгляд, имеет прямое отношение к PHP-INJ,

Бляяя.... Есть 3 вида(!!!)
Инклуд - подключение и ВЫПОЛНЕНИЕ стороннего файла
Читалка - ВЫВОД СОДЕРЖИМОГО стороннего файла
Инъекция кода - ВНЕДРЕНИЕ КОДА В СКРИПТ непосредственно

>> Если же кто-воспринимает php-inj как именно инклуд и обязательно ВЫПОЛНЕНИЕ стороннего файла - разве это мои проблемы?
Да я смотрю тебе поxуй вообще

 

Pashkela
Ты вот тут нёс точно такую-же охинею
https://forum.antichat.ru/showthread.php?p=1331217#post1331217

Мы тебе вроде там всё объяснили, ты сказал что понял. Но я смотрю нихера подобного. Или напиши на мониторе то, что сказал Слип, или называй это как тебе нравится, но людям это говорить не надо! Это неверно, и так люди никогда не разберутся.

Просто очень нехочется после тебя переучивать новичков в ветке. Они будут исходить из твойх слов и нести этот БРЕД дальше

 

твое незнание - в первую очередь твоя проблема, не говоря уже о том, что распространяешь на форуме дизинформацию... но ты не беспокойся, мы это поправим.